---
title: "SurrealDB の MCP 機能でセッション乗っ取りの欠陥（CVE-2026-121419）: CVSS 8.1、低権限の利用者が他人の権限で操作できる（3.3.0 で修正）"
url: https://n-t-p.io/worldsecurity/articles/surrealdb-cve-2026-121419-mcp-session-hijack-boundsubject-before-3-3-0
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-121419
---

# SurrealDB の MCP 機能でセッション乗っ取りの欠陥（CVE-2026-121419）: CVSS 8.1、低権限の利用者が他人の権限で操作できる（3.3.0 で修正）

> **TL;DR:** SurrealDB 3.1.0 以上 3.3.0 未満の MCP 窓口で、JWT・Bearer 方式のとき同じ方式の別の利用者が被害者のセッション ID を使って、被害者の権限で道具を実行できる欠陥（CVE-2026-121419、CVSS v3.1 8.1）。PR:L のため high。KEV 未掲載。3.3.0 へ更新を。

**要点**
- MCP の利用者の再確認が、JWT・Bearer 方式では利用者ごとではなくアクセス方式の名前で行われる（CVE-2026-121419、CWE-269）。CVSS v3.1 は 8.1（評価元 VulnCheck）
- 攻撃には、同じ方式の有効なトークン（最低権限でよい）と被害者の mcp-session-id が必要（PR:L）。成立すると被害者の役割・権限で道具を実行できる
- 対象は NVD 記載で 3.1.0 以上 3.3.0 未満（GitHub 勧告本文は 3.2.0 以上）。KEV 未掲載。EPSS は取得時点でデータなし
- 3.3.0 以降へ更新し、MCP の窓口を絞る。悪用の有無・影響の始まりの版・セッション ID の入手経路は未確認

SurrealDB（オープンソースのデータベース）の MCP（AI エージェントがデータベースの道具を呼び出すための仕組み）の HTTP 窓口に、別の利用者のセッションを乗っ取れる欠陥（CVE-2026-121419）が公表されました。JWT・Bearer 方式のアクセス定義では、「同じ利用者かどうか」の照合に利用者ごとの識別子ではなくアクセス方式の名前が使われるため、同じ方式の別の利用者でも照合を通ってしまいます。有効な低権限のトークンを持つ攻撃者が、被害者の MCP セッション ID（mcp-session-id）を入手できれば、被害者の役割・権限で MCP の道具を実行できます。NVD に載っている CVSS v3.1 は 8.1（AV:N/AC:L/PR:L/UI:N、評価元は VulnCheck）です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。修正版は 3.3.0 です。

## 概要

| 項目 | 内容 |
|---|---|
| 問題 | MCP の HTTP 窓口で、リクエストごとの利用者の再確認（BoundSubject の指紋）が JWT・Bearer のアクセス方式では無効になる（CWE-269）。指紋に使う識別子がアクセス方式の名前になり、同じ方式の全利用者で同じ値になる |
| 攻撃条件 | ネットワーク経由。同じアクセス方式の有効なトークン（最も低い役割でよい）と、被害者の mcp-session-id が必要（PR:L）。UI は不要 |
| 影響 | 被害者の役割・権限での MCP の道具の実行。GitHub の勧告は、閲覧のみの役割の利用者が、編集者の役割の利用者のセッションを使い、自分の権限では禁止されている書き込みに成功した例を載せている（機密性・完全性が高、可用性は影響なし） |
| CVSS v3.1 | 8.1（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N、評価元は VulnCheck）。CVSS v4.0 では 8.6（同じ評価元） |
| EPSS | 取得時点（2026-11-04）では FIRST にデータなし |
| CISA KEV | 載っていない（2026-11-04 時点） |
| 対象 | NVD の記載は 3.1.0 以上 3.3.0 未満。GitHub の勧告の本文は 3.2.0 以上と書いており、食い違っている（下の「未確認の点」） |
| 修正版 | 3.3.0 |

SurrealDB は MCP の窓口（POST /mcp）を備えており、セッションの開始時に「誰のセッションか」を記録し、以降のリクエストで別の利用者の認証情報が来たら拒否する作りになっています。ところが JWT・Bearer 方式では、記録される識別子が利用者ではなくアクセス方式の名前になるため、同じ方式の利用者どうしが区別されません。セッションの実行は開始時に作られたセッション（被害者の権限）で行われるので、攻撃者は自分のトークンで照合を通りつつ、被害者の権限で道具を使えます。

## なぜ重要か

MCP は、AI エージェントにデータベースの読み書きを任せる使い方で広がっています。そのセッションを別の利用者が使えると、役割による権限分けが意味をなさなくなります。たとえば閲覧だけの利用者が、編集者や管理者のセッションを借りて書き込めます。

一方で、攻撃にはいくつかの前提があります。攻撃者はすでに有効なトークンを持つ利用者で、さらに被害者のセッション ID を知る必要があります。セッション ID の入手方法は勧告に書かれていません。認証が不要という欠陥ではなく、CVSS も 8.1 です。本サイトの基準（認証不要かつ CVSS 9 以上を critical、PR:L は critical にしない）に照らして high とします。KEV にも載っておらず、悪用の報告は確認できていません。

## 対策

- SurrealDB を 3.3.0 以降へ更新する。
- 更新までの間、MCP の HTTP 窓口を使っている場合は、使う利用者と到達できるネットワークを絞る。必要がなければ MCP を有効にしない。
- JWT・Bearer 方式のアクセス定義を使っている場合は、MCP のセッション ID を他人に見せない（ログ・画面共有・チケットに貼らない）。
- MCP の監査ログで、1 つのセッション ID が別のトークンの利用者から使われていないか確かめる。

## 数値と出典（2026-11-04 時点）

| 項目 | 内容 |
|---|---|
| NVD | Deferred（保留）。CVSS v3.1 8.1（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N）、評価元は VulnCheck。弱点の種類は CWE-269。公開は 2026-11-03 |
| GitHub 勧告 | GHSA-pgh9-49q4-hqcx（2026-10-19 公開）。影響は >= 3.1.0, < 3.3.0、修正版 3.3.0 |
| EPSS | FIRST にまだデータなし（2026-11-04 取得） |
| KEV | 載っていない |
| 出典 | NVD、SurrealDB の GitHub セキュリティ勧告、VulnCheck の勧告、FIRST、CISA KEV |

## 未確認の点

- 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
- 影響の始まりの版。NVD は 3.1.0 以上、GitHub 勧告の本文は 3.2.0 以上としており、どちらが正しいかは確認できていない（3.1.x を使っている場合は、念のため影響ありとして扱うのが安全）。
- 攻撃者が被害者のセッション ID をどう入手するか。勧告に具体的な経路は書かれておらず、入手の難しさは評価できていない。
- ユーザー名・パスワードで認証する場合や、MCP を使わない構成が影響を受けないことの確認。勧告は JWT・Bearer の方式を対象としている。
- 3.3.0 の修正が完全かどうか。修正コードまでは確認できていない。
- NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。


## 出典
- [NVD CVE-2026-121419](https://nvd.nist.gov/vuln/detail/CVE-2026-121419) — NIST NVD
- [SurrealDB GitHub セキュリティ勧告 GHSA-pgh9-49q4-hqcx](https://github.com/surrealdb/surrealdb/security/advisories/GHSA-pgh9-49q4-hqcx) — SurrealDB
- [VulnCheck 勧告 SurrealDB 3.1.0 before 3.3.0](https://www.vulncheck.com/advisories/surrealdb-3.1.0-before-3.3.0-mcp-session-hijack-via-boundsubject-collision) — VulnCheck
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-121419) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/surrealdb-cve-2026-121419-mcp-session-hijack-boundsubject-before-3-3-0